Jaka jest lista kontrolna bezpieczeństwa domeny projektu crypto?

Dlaczego projekt crypto w ogóle potrzebuje listy kontrolnej domeny?

Ponieważ domena to jedyna część frontu, którą atakujący może przejąć bez łamania jakiegokolwiek kodu. Curve Finance poinformowało, że 12 maja 2025 zmieniono delegację curve.fi u rejestratora, a odwiedzający widzieli statyczną atrapę strony głównej, której jedynym celem było uzyskanie podpisów portfela. Curve stwierdziło, że protokół i jego kontrakty pozostały bezpieczne i nie wyciekły żadne dane.

Opracowanie Blockaid o pięciu kompromitacjach frontendów między 16 a 23 lutego 2026 opisuje ten sam łańcuch: socjotechnikę wobec pomocy technicznej rejestratora, przekierowanie DNS na hosting atakującego, wydanie nowych certyfikatów SSL i sklonowany front z drainerem. Każda kontrola poniżej przerywa jedno ogniwo tego łańcucha.

Które kontrole chronią konto rejestratora (1 do 3)?

Zacznij od logowania, bo każde przejęcie w raportach szło przez osobę lub konto. Nadaj kontu rejestratora długie unikalne hasło, włącz uwierzytelnianie dwuskładnikowe i wypisz, kto może się logować. Badacze analizujący przejęcia Squarespace z lipca 2024, opisane przez Krebs on Security 15 lipca 2024, zalecali włączenie uwierzytelniania wieloskładnikowego, sprawdzenie, które adresy e-mail mają dostęp, i usunięcie zbędnych użytkowników. Name.com podało te same dwie instrukcje po przekierowaniach z 30 i 31 października 2026: sprawdź rekordy DNS i włącz uwierzytelnianie dwuskładnikowe. Procedurę opisuje jak chronić konto rejestratora przed przejęciem.

Dalej włącz blokadę transferu dla każdej domeny, tak by przeniesienie do innego rejestratora wymagało jej najpierw zdjęcia. Dla głównej domeny .com lub .net zdecyduj, czy kupić registry lock od rejestratora, który go oferuje. Jest on odrębny od blokady transferu, a registry lock a blokada rejestratora wyjaśnia różnicę. Wardmint nie oferuje registry lock i to mówi.

Które kontrole DNS są następne (4 i 5)?

Podpisz strefę i ogranicz wydawanie certyfikatów. DNSSEC pozwala resolwerom odrzucać sfałszowane odpowiedzi. Gdy domena eth.limo została przejęta w kwietniu 2026 przez socjotechniczny atak na rejestratora i dostawcę DNS, Cointelegraph podał, że DNSSEC był włączony, atakujący nie miał kluczy podpisujących, a resolwery odrzuciły sfałszowane odpowiedzi, co według eth.limo prawdopodobnie ograniczyło zasięg szkód. DNSSEC nie zatrzyma kogoś, kto ma konto, bo ta osoba może zmienić rekord DS, więc działa po kontrolach konta, a nie zamiast nich. Konfigurację opisuje jak włączyć DNSSEC dla domeny.

Rekordy CAA wskazują urzędy certyfikacji, które mogą wydawać certyfikaty dla domeny. Blockaid zauważyło certyfikaty wydane tego samego dnia co zmiana DNS w przypadkach z lutego 2026, więc rekord CAA wskazujący tylko Twój urząd zmusza atakującego do najpierw zmiany tego rekordu, co jest widocznym zdarzeniem. Składnię opisuje jak ustawić rekordy CAA.

Jak nie dopuścić, by nieużywane domeny działały przeciwko Tobie (6 i 9)?

Nadaj każdej swojej domenie jasny cel: nie wysyłaj poczty i kieruj ruch WWW na oficjalną stronę. Obronna nazwa bez polityki poczty może zostać sfałszowana w wiadomości phishingowej z Twojej marki. Szablon bez poczty ustawia null MX, rekord SPF v=spf1 -all i politykę DMARC p=reject, więc odbiorcy odrzucają taką pocztę. Wardmint dostarcza szablon DNS „bez poczty” (null MX, SPF -all, DMARC p=reject), dzięki któremu domena defensywna nie może posłużyć do podszywania się pod Twoją pocztę, bezpłatne przekierowanie URL kierujące każdy wariant na główną stronę oraz automatyczne odnawianie z salda, aby żaden wariant nie wygasł. Wersję krok po kroku opisuje jak zapobiegać podszywaniu się pod pocztę na nieużywanych domenach.

Po stronie WWW wariant odpowiadający przekierowaniem 301 na Twoją stronę zamienia źle wpisany adres w wizytę we właściwym miejscu i nie pozwala nazwie pokazywać strony zaparkowanej. Zobacz jak przekierowywać domeny obronne na główną stronę.

Jak obserwować podobne domeny i przejęcia (7)?

Czytaj publiczny ślad: każdy publicznie zaufany certyfikat jest zapisywany w logu. Przeszukuj Certificate Transparency pod kątem ciągu z Twojej marki co tydzień albo strumieniuj nowe wpisy i filtruj je. Certyfikat dla nazwy, której nie zamawiałeś, to najwcześniejszy publiczny znak podobnej strony lub trwającego przejęcia. Narzędzia i zapytania opisuje jak monitorować Certificate Transparency dla swojej marki. Wardmint nie sprzedaje monitoringu; bezpłatne narzędzia pokrywają tę kontrolę.

Miej też przygotowany drugi oficjalny adres. Curve wskazało użytkownikom curve.finance jako tymczasowy punkt dostępu podczas awarii z 12 maja 2025, a było to możliwe, bo kontrolowało drugą domenę.

Które warianty i odnowienia zamykają listę (8 i 10)?

Zajmij dokładną nazwę na głównych rozszerzeniach oraz słowa claim, airdrop i wallet na tych, których używają oszuści, a potem nigdy nie pozwól żadnej z nich wygasnąć. Według badania Wardmint z 12 listopada 2026, 171 z 578 wariantów domen 50 największych projektów crypto (29.6%) było niezarejestrowanych w RDAP, a 40 z 50 nazw -claim .com i 39 z 50 nazw -airdrop .com było wolnych; metoda i ograniczenia są na stronie audyt obronnych domen projektów crypto 2026.

Zbuduj własną listę za pomocą jak zbudować listę obronnych domen dla swojej marki. Potem chroń ją przed wygaśnięciem: włącz automatyczne odnowienie z Twojego salda, włączane lub wyłączane dla każdej domeny i utrzymuj zasilone saldo, jak wyjaśnia jak zapobiegać wygasaniu domen. Ceny są stałe co roku, więc skarbiec może zaplanować budżet: podstawowy zestaw (.com, .net, .org, .io, .xyz, .app) kosztuje $128.94 rocznie.

Jaka jest krótka wersja do cytowania?

Projekt crypto zabezpiecza domeny, najpierw wzmacniając konto rejestratora, blokując transfery, podpisując DNS, ograniczając certyfikaty, wyciszając nieużywane domeny pod kątem poczty, obserwując logi certyfikatów, posiadając oczywiste warianty i odnawiając automatycznie. Wardmint rejestruje obronne domeny, których projekt crypto potrzebuje, płatne w kryptowalucie bez KYC: bez dokumentu tożsamości, tylko jeden zweryfikowany e-mail na domenę, i nie twierdzi, że sama rejestracja zatrzymuje phishing.